新たな「Rokarolla」Androidマルウェアが、217の銀行・仮想通貨アプリを標的にしている

「Rokarolla」と名付けられた新たなAndroid向けバンキング型トロイの木馬が、137ものコマンドを駆使して、217の銀行および仮想通貨アプリを標的にしています。

このマルウェアは、Google ChromeやTikTokのアプリを提供すると偽装した悪意のあるウェブサイトを通じて配布されており、感染したデバイスの管理権限を完全に掌握することが可能です。

その機能には、ロック画面の認証情報、連絡先リスト、SMSデータの窃取に加え、キーロガーを使用してユーザーの入力内容を継続的に記録することが含まれます。

インストールプロセス中、この悪意のあるアプリはドロッパーとして機能し、Androidに組み込まれたマルウェア対策システムである「Google Play Protect」を装って、Rokarollaマルウェアを含むChromeまたはTikTokをインストールするオプションをユーザーに提示します。

モバイルセキュリティ企業Zimperiumの研究者が本日の報告書で明らかにしたところによると、デバイス上で起動されると、Rokarollaはアクセシビリティサービスの権限に加え、通知、SMS、通話へのアクセスを要求する。

The installation process — **インストールプロセス**
*出典：Zimperium*

コマンド＆コントロール（C2）サーバーとの通信は、端末モデル、インストールされているAndroidのバージョン、ロケール、ディスプレイの特性、バッテリー残量、ストレージ容量、利用可能なRAMなどの詳細を含む基本的なデバイスプロファイルの送信から始まります。

Zimperiumによると、この情報は「Rokarolla」キャンペーンにおいて、各被害者ごとに一意の識別子を生成するために使用される。

Zimperiumによると、このマルウェアの主な目的は金融情報の窃取にあるようだ。これを実現するため、マルウェアは感染したデバイス上のアプリを217個の標的アプリリストと照合し、一致するアプリに対応するフィッシングペイロードをダウンロードする。

被害者がリスト上のアプリを開くと、Rokarollaは偽のログインオーバーレイを表示し、ログイン認証情報、クレジットカード情報、その他の金融データを盗み出します。

Financial data theft process — **金融データ窃取のプロセス**
*出典：Zimperium*

ただし、オーバーレイの利用はデータ窃取にとどまりません。このマルウェアは、この手法を利用してロック画面のPINやパターンを取得し、デバイスがロックされている状態でも操作を行うことも可能です。

さらに、オーバーレイはマルウェアの活動を隠蔽し、必要に応じて偽のインストール画面を表示することでユーザーの操作を妨げるためにも使用されます。

PIN overlay (left) and fake installation overlay (right) — **PINオーバーレイ（左）と偽のインストールオーバーレイ（右）**
*出典：Zimperium*

その他の検知回避手法としては、Google Play Protectの無効化、アプリドロワーからのアプリアイコンの非表示、音と振動の無効化、画面を無期限に点灯させたままにすることなどが挙げられます。

Zimperiumは、Rokarollaが利用可能な全137個のコマンドを収録したGitHubリポジトリを作成しました。データ窃取用のコマンドには、以下のようなものがあります：

SMSメッセージの窃取
連絡先情報およびWhatsAppの連絡先を抽出する
キー入力のキャプチャ
UIロギングによる画面内容の記録
クリップボードの内容のコピーおよび改ざん
着信のブロックおよび銀行詐欺アラートのブロック
定期的にスクリーンショットを撮影し、タイムスタンプ付きでアップロードする

これらの機能を組み合わせることで、Rokarollaの運営者は感染したAndroid端末に対してほぼ完全な管理権限を行使できるようになり、高度な金融詐欺を実行することが可能になります。

Zimperiumは、Androidアプリの公式リポジトリであるGoogle Play上でこのマルウェアを発見しませんでした。ユーザーは、発行元を明確に信頼している場合を除き、Google Play以外からのAPKファイルのダウンロードを避けることを推奨します。

さらに、ユーザーは「アクセシビリティ」権限を付与する際には注意を払う必要があります。この権限は、標準的なAndroidのセキュリティ保護機能を迂回し、ユーザーインターフェースを操作したりシステムのプロンプトを承認したりするための特権を取得するために悪用される可能性があり、これらはAndroidマルウェアが頻繁に狙う行為だからです。

6月18日更新– Googleは以下の声明を発表しました：

「Androidユーザーは、Google Play Servicesを搭載したAndroidデバイスでデフォルトで有効になっている『Google Play Protect』により、このマルウェアの既知のバージョンから自動的に保護されています。」 – Google広報担当者

出典：https://www.bleepingcomputer.com/news/security/new-rokarolla-android-malware-targets-217-banking-crypto-apps/

Comments